Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), Постановлением Правительства РФ от 01.11.2012 № 1119 и иными нормативными правовыми актами в области защиты персональных данных.

Политика определяет порядок и условия обработки Оператором персональных данных пользователей информационной системы «Smart Lyceum» (далее — «Сервис»), эксплуатируемой на сайте smart-lyceum.ru, включая Telegram-бота, Mini App и MAX-бота.

Настоящая Политика применяется ко всем персональным данным, которые Оператор может получить о пользователе (ученике, учителе, наставнике, родителе) во время использования Сервиса.

Дата начала обработки персональных данных — 1 сентября.

2. Основные понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Оператор — организация, самостоятельно или совместно с другими лицами организующая и осуществляющая обработку персональных данных.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без них.
Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе.
Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
Субъект персональных данных — пользователь Сервиса: ученик, учитель, наставник или родитель (законный представитель).

3. Оператор

Оператором, обрабатывающим персональные данные, является:

Муниципальное автономное общеобразовательное учреждение «Башкирский лицей-интернат №3» городского округа город Стерлитамак Республики Башкортостан (далее — «Оператор»)
ИНН: 0268017199 · ОГРН: 1020202083395
Адрес: 453118, г. Стерлитамак, ул. Худайбердина, 194
Сайт: smart-lyceum.ru

Ответственный за организацию обработки персональных данных: {ФИО, назначается приказом школы}. Контакт для отзыва согласия и направления запросов: {e-mail/телефон}.

Сведения о месте нахождения информационной системы и мерах её защиты могут быть предоставлены Оператором по запросу уполномоченных органов в установленном порядке.

4. Правовые основания обработки

Обработка персональных данных осуществляется на основании и во исполнение:

Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федерального закона от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»;
согласия субъекта персональных данных (законного представителя несовершеннолетнего) на обработку персональных данных (п. 1 ч. 1 ст. 6, ст. 9 Федерального закона № 152-ФЗ);
договоров и соглашений, стороной которого является субъект персональных данных;
иных нормативных правовых актов Российской Федерации.

Согласие на обработку персональных данных предоставляется свободно, своей волей и в своём интересе, в том числе при использовании функциональности Сервиса (текст Согласия размещён по адресу /consent).

5. Состав обрабатываемых персональных данных

Оператор обрабатывает следующие персональные данные пользователей:

фамилия, имя, отчество;
класс (параллель) обучения;
сведения об успеваемости (в виде статистических показателей);
технический идентификатор — хэш СНИЛС с солью (для проверки принадлежности учётной записи; исходное значение не хранится).

6. Цели обработки персональных данных

Персональные данные обрабатываются для:

предоставления доступа к функциям Сервиса (расписание, учёт успеваемости, домашние задания);
идентификации и аутентификации пользователя при входе в Сервис через Telegram или MAX;
формирования расписания занятий и направлений уведомлений;
учёта и предоставления сведений об успеваемости;
организации связи «ученик — родитель (законный представитель)»;
обеспечения информационной безопасности и защиты от несанкционированного доступа;
исполнения требований законодательства Российской Федерации.

7. Порядок и условия обработки

Обработка персональных данных осуществляется с использованием средств автоматизации (информационная система на базе серверов Оператора) и без них.

Персональные данные хранятся на серверах, расположенных на территории Российской Федерации. Третьим лицам персональные данные не передаются и не распространяются, за исключением случаев, предусмотренных законодательством Российской Федерации.

Доступ к персональным данным предоставляется только сотрудникам Оператора, чьи должностные обязанности связаны с обработкой таких данных, в объёме, необходимом для выполнения служебных обязанностей.

Обработка персональных данных привлекаемыми Оператором лицами (провайдерами хостинга, облачных сервисов) осуществляется на основании договоров и поручений на обработку персональных данных, содержащих обязательство о конфиденциальности.

Оператор не осуществляет трансграничную передачу персональных данных.

Персональные данные не используются для принятия решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки, если иное не установлено законодательством.

8. Сроки обработки и хранения

Сроки обработки и хранения персональных данных определяются целями обработки, требованиями законодательства и Положением о хранении персональных данных (/policy/storage).

Срок хранения персональных данных составляет 5 лет, после чего данные уничтожаются либо обезличиваются, если иной срок не установлен законодательством.

При прекращении пользования Сервисом или по достижении целей обработки персональные данные уничтожаются либо обезличиваются в порядке, установленном Оператором.

9. Меры по обеспечению безопасности

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

назначение ответственного за организацию обработки персональных данных;
ограничение состава сотрудников, имеющих доступ к персональным данным;
применение средств защиты информации, шифрования каналов передачи данных (TLS);
хранение СНИЛС только в виде bcrypt- и HMAC-хэшей без возможности восстановления исходного значения;
хранение токенов доступа в виде SHA-256-хэшей;
разграничение прав доступа к данным на основе ролей пользователей (ученик, учитель, наставник, администратор, родитель);
резервное копирование баз данных и контроль целостности;
журналирование событий доступа и их контроль;
проведение внутреннего контроля и регулярного анализа защищённости информационной системы.

10. Права субъекта персональных данных

Субъект персональных данных (законный представитель несовершеннолетнего) вправе:

получать сведения об обработке его персональных данных Оператором;
требовать уточнения, блокирования или уничтожения персональных данных в случае их неполноты, устаревшее, неточности, незаконности обработки;
отозвать согласие на обработку персональных данных, направив письменное заявление Оператору;
обжаловать действия (бездействие) Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
осуществлять иные права, предусмотренные 152-ФЗ.

Запросы о реализации прав направляются Оператору в письменной форме на адрес, указанный в разделе 3 настоящей Политики. Оператор обязан рассмотреть запрос и дать мотивированный ответ в срок, не превышающий 10 рабочих дней с момента получения запроса (если иной срок не установлен законом).

11. Заключительные положения

Настоящая Политика является общедоступным документом и подлежит опубликованию на сайте smart-lyceum.ru.

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на сайте Оператора.

Вопросы, не урегулированные настоящей Политикой, регулируются законодательством Российской Федерации о персональных данных.